通过Traefik以HTTPS访问9443端口Portainer Web UI遇500错误

核心问题分析 #

直接访问Portainer的9443端口正常，但通过Traefik反向代理返回500错误，大概率是Traefik验证Portainer自签名证书失败导致的——Portainer开启Force HTTPS后默认使用自签名证书，而Traefik默认会严格验证后端服务的SSL证书，验证不通过就会触发500错误。

分步排查与修复 #

1. 跳过后端SSL证书验证（最可能解决问题） #

修改Traefik配置文件，取消serversTransport部分的注释并开启证书验证跳过：

serversTransport:
  insecureSkipVerify: true

该配置适用于内部服务使用自签名证书的场景，让Traefik忽略后端证书的有效性检查。

2. 验证容器网络连通性 #

虽然Traefik和Portainer都加入了private外部网络，仍需确认容器间能正常通信：

# 进入Traefik容器
docker exec -it traefik sh
# ping Portainer容器名称，测试网络连通
ping portainer
# 尝试curl Portainer的HTTPS端口，查看证书报错信息
curl -v https://portainer:9443

如果ping不通，检查private网络是否正常：

docker network inspect private

确保输出中同时包含traefik和portainer两个容器的信息。

3. 查看Traefik日志定位具体错误 #

用户配置的日志路径可能因容器内目录不存在导致日志无法写入，直接查看容器实时日志：

docker logs -f traefik

如果看到x509: certificate signed by unknown authority类错误，即可确认是证书验证问题，按步骤1修复即可。

4. 优化Portainer的Traefik标签配置 #

由于已配置HTTP到HTTPS的全局重定向，可简化Portainer的路由标签，去掉web入口点：

labels:
  - 'traefik.enable=true'
  - 'traefik.http.routers.portainer.entrypoints=websecure'
  - 'traefik.http.routers.portainer.rule=Host(`portainer.mydomain.com`)'
  - 'traefik.http.routers.portainer.tls=true'
  - 'traefik.http.routers.portainer.tls.certresolver=production'
  - 'traefik.http.services.portainer.loadbalancer.server.port=9443'
  - 'traefik.http.services.portainer.loadbalancer.server.scheme=https'

5. 确保Traefik证书存储权限正确 #

检查traefik-ssl-certs卷的权限，确保Traefik能正常写入acme.json：

# 查看卷的本地挂载路径
docker volume inspect traefik-ssl-certs
# 进入路径修改acme.json权限
chmod 600 /path/to/traefik-ssl-certs/acme.json

修复后操作 #

修改配置后重启两个容器：

docker-compose -f traefik-compose.yml restart
docker-compose -f portainer-compose.yml restart

重新访问portainer.mydomain.com测试。

内容的提问来源于stack exchange，提问作者Nathan Winspear